Escenario: Reconstruir una inyección de memoria a partir del rastro en Sysmon y EDR

3 tareas · 38 min · Principiante

Un operador del equipo ofensivo intentó aplicar una técnica clásica de vaciado de procesos para ocultar su implante bajo una instancia de svchost.exe. El EDR del cliente detectó la anomalía de inmediato y terminó la sesión. Debes auditar la traza forense de Sysmon para reconstruir la cadena táctica de eventos observada por la defensa.

0 de 3 · 0%

Objetivo de la sala

Abre informe_inyeccion_detectada.txt y sysmon_injection_trace.txt en la consola del laboratorio con el entorno rt-inyeccion-edr-escenario.

Examina los eventos de creación de procesos en la traza forense. Localiza el identificador numérico asignado a la nueva instancia del proceso del sistema engendrada por el cargador temporal.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Según sysmon_injection_trace.txt, ¿cuál es el identificador numérico de proceso (ProcessId) asignado a svchost.exe en el Registro 3012?

Revisa el evento de acceso entre procesos (Registro 3013) en sysmon_injection_trace.txt.

El cargador solicitó un manejador sobre el proceso hijo recién creado. Identifica el valor exacto de la máscara de privilegios solicitada que activó las alarmas del centro de operaciones.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Según sysmon_injection_trace.txt, ¿qué valor exacto figura en el campo GrantedAccess del Registro 3013?

Inspecciona el evento de creación de hilo remoto (Registro 3014) en sysmon_injection_trace.txt.

El evento documenta la dirección de memoria virtual en la que el hilo comenzó su ejecución. Localiza el valor registrado para determinar el punto de entrada de la carga inyectada.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Según sysmon_injection_trace.txt, ¿qué dirección de memoria exacta figura en el campo StartAddress del Registro 3014?

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Preparando el escritorio…

Objetivo: soc-forensics.solvex.local

16:24

Terminal (user@whoami)

Tab Autocompletar ↑/↓ Historial

bash 5.2.21

Whoami-Labs OS v3.0.1 LTS · build 733482

1 Identificación del proceso objetivo en la traza Lab

2 Auditoría de permisos solicitados entre procesos Lab

3 La dirección de inicio del hilo remoto Lab

Whoami-Labs Pro utiliza cookies